SmsForwarder: Fehlende Authentifizierung in HTTP-Fernsteuerungs-API

Zusammenfassung

SmsForwarder bis Version 3.5.0, eine Android-App zur Weiterleitung von SMS- und Anrufbenachrichtigungen, enthält einen eingebetteten HTTP-Server (AndServer), dessen Fernsteuerungs-Endpunkte keine Authentifizierung verlangen. Die Schwachstelle ist standardmässig aktiviert, daher kann ein nicht authentifizierter Angreifer im Netzwerk, der den Port des Geräts erreicht, SMS, Anrufprotokolle und Kontakte lesen, SMS versenden sowie die Konfination über die Clone-API exportieren oder überschreiben. Voraussetzung ist, dass das Gerät netzwerkseitig erreichbar ist.

Betroffen

• pppscn SmsForwarder, Versionen 0 bis 3.5.0
• Standardkonfiguration ist betroffen

Behoben in

Unbekannt. Es wurde keine offizielle korrigierte Version identifiziert.

Umgehung

• Die Fernsteuerungs-/Serverfunktion in der App deaktivieren, sofern die Version dies erlaubt (Name der Einstellung nicht verifiziert)
• Den HTTP-Port der App an Router und Firewall blockieren und nicht per Portweiterleitung freigeben
• Gerät nur über ein selbst kontrolliertes VPN erreichbar machen
• Intranet-Durchleitung (frp) deaktivieren, sofern nicht benötigt
• App von Geräten entfernen, auf denen keine Fernsteuerung benötigt wird

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• Kein öffentlicher Proof-of-Concept gefunden
• VulDB stuft den Angriff als einfach ein und verlangt keine Authentifizierung

Unsere Empfehlung

• Alle Geräte mit SmsForwarder identifizieren und prüfen, ob der Fernsteuerungsserver aktiviert ist und aus unvertrauenswürdigen Netzen erreichbar ist
• Betroffene Installationen jetzt entfernen oder isolieren, insbesondere Telefone für SMS-basierte 2FA
• Port der App an der Firewall blockieren und Portweiterleitungen deaktivieren
• Bei vermuteter Exposition davon ausgehen, dass SMS- und Kontaktdaten gelesen wurden; Passwörter und Token, die an SMS-2FA gebunden sind, erneuern und Weiterleitungsziele prüfen
• Vor einer Neuinstallation das Upstream-Projekt auf eine korrigierte Version prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-110618 VulnCheck advisory www.vulncheck.com
• SmsForwarder GitHub repository github.com
• AppMessageConverter.kt at v3.5.0 github.com
• HttpServerUtils.kt at v3.5.0 github.com
• Write-up on hackmd hackmd.io
• SmsForwarder releases github.com
• VulDB entry 420018 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:12.